PT-2026-70168
CVE-2026-72766
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-08-28
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات n8n السابقة للإصدار 1.123.67
إصدارات n8n 2.x السابقة للإصدار 2.31.5
إصدارات n8n 2.32.x السابقة للإصدار 2.32.1
الوصف
توجد مشكلة في الخلط بين الأنواع في عقدة ”إرسال بريد إلكتروني“ (Send Email) لأن حقول الرسائل لا تُفرض بشكل صارم كسلاسل نصية. إذا تم توفير قيمة مصطنعة غير نصية عبر تعبير سير العمل في حقول النص أو نص HTML، فقد تفسرها مكتبة البريد الأساسية (Nodemailer) على أنها مسار ملف أو عنوان URL. قد يؤدي ذلك إلى الكشف التعسفي عن ملفات محلية وتزوير الطلبات من جانب الخادم (SSRF)، وهي تقنية تُستخدم لحث الخادم على إرسال طلبات إلى موقع غير مقصود. يتطلب استغلال هذه الثغرة تكوينًا محددًا غير افتراضي: سير عمل نشط مع webhook غير مصدق، وبيانات اعتماد SMTP صالحة، ومدخلات غير موثوق بها مخططة مباشرةً إلى حقل النص الأساسي.
التوصيات
التحديث إلى الإصدار 1.123.67 أو أحدث.
التحديث إلى الإصدار 2.31.5 أو أحدث بالنسبة لفرع 2.x.
التحديث إلى الإصدار 2.32.1 أو أحدث بالنسبة لفرع 2.32.x.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾